javascript - 我可以查明用户的网络浏览器是否存储了我的自签名 ssl 证书的异常吗？

Question

是否有可能找出，例如在 javascript 中，如果浏览器存储了自签名 ssl 证书的安全异常？

我想向用户提供一条消息，告诉他们在尝试导航到通过 https 提供的页面之前会收到安全警告以及证书详细信息，但我只想将该消息提供给以下用户:将收到安全警告，即没有为我的安全证书存储异常的用户。
(该站点是为一个新的非营利性非法人协会创建的，因此即使有预算也可能很难获得 CA 证书。)

Answer 1

I want to provide a message to users telling them to expect the security warning and what the certificate details will be BEFORE they try to navigate to a page being served over https, but I only want to give that message to users who are going to get the security warning, i.e. users who have not stored the exception for my security certificate.

我认为这是个坏主意。 如果您训练用户相信此类消息，中间人攻击者很容易只显示类似的警告，然后使用攻击者证书进行中间人 SSL 攻击。

(The site is for a new non-profit unincorporated association so it may be difficult to get a CA certificate even if there were a budget for one.)

首先，有一种免费的 SSL 证书(他们可能不对证书收费，但对吊销收费)。除此之外，如果您只是将它与服务器成本或几杯咖啡进行比较，那么一个简单的证书并没有那么昂贵。 如果你真的想保护你的用户，你不应该使用某种损坏的 HTTPS，而是正确地使用它。

Is it possible to find out, e.g. in javascript, if a browser has stored a security exception for a self-signed ssl certificate?

虽然我认为显示这样的警告是个坏主意，但可以在类似情况下使用以下技术，即向用户表明它需要更新其旧软件，因为它不能接受更新的证书:

您可以尝试包含来自 https 保护端的图像等资源。如果资源证书失败，现代浏览器(我已经用最近的 Chrome 和 Firefox 测试过)不会显示警告，而是静默加载失败。您可以使用 Javascript 检查资源是否已加载(用户对证书有异常(exception))或没有(无异常(exception))。